VERBİS Nedir, Kimler Kayıt Olmak Zorunda? 2026 Rehberi

KVKK denetimlerinde ve iş ortağı sözleşmelerinde giderek daha sık karşılaşılan soru aynı: "VERBİS kaydınız var mı?" Soru basit görünse de arkasında iki ayrı belirsizlik yatar — işletmenin gerçekten yükümlü olup olmadığı ve yükümlüyse kaydın neyi beyan ettiği. Bu rehber ilk sorunun cevabını netleştiriyor; başvuru adımlarını ise adım adım kayıt rehberinde ayrıca ele alıyoruz.

VERBİS Nedir?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kişisel Verileri Koruma Kurumu'nun yönettiği, veri sorumlularının kişisel veri işleme faaliyetlerini beyan ettiği çevrimiçi sicildir. Dayanağı KVKK'nın 16. maddesidir: kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Sicile kaydolmak zorundadır — Kurul'un istisna tanıdığı hâller dışında.

Kayıt sırasında işletme; hangi veri kategorilerini, hangi amaçlarla işlediğini, verileri ne kadar süre sakladığını, kimlere aktardığını, yurt dışına aktarım yapıp yapmadığını ve hangi güvenlik tedbirlerini aldığını beyan eder. Bu beyanın özeti kamuya açıktır: müşteriniz, rakibiniz veya bir denetçi, sicil sorgusuyla beyanınızı görebilir. VERBİS bu yönüyle yalnız bir bürokratik kayıt değil, işletmenin veri işleme pratiğinin kamuya dönük vitrinidir.

2026'da Kimler Kayıt Olmak Zorunda?

Kayıt yükümlülüğünün sınırları Kurul kararlarıyla çizilir ve eşikler zaman içinde güncellenmiştir. Güncel çerçevede yükümlülük üç ana kapıdan doğar:

Yükümlülük kapısı	Ölçüt	Tipik örnek
Çalışan sayısı	Yıllık çalışan sayısı 50'den çok	55 personelli üretim firması
Mali büyüklük	Yıllık mali bilanço toplamı 100 milyon TL'den çok	30 kişilik ama yüksek cirolu toptancı
Özel nitelikli veri	Ana faaliyet konusu özel nitelikli kişisel veri işlemek (eşik aranmaz)	Özel sağlık kuruluşu, işyeri hekimliği/OSGB firması, laboratuvar
Yurt dışında yerleşiklik	Türkiye'de veri işleyen yabancı veri sorumlusu (eşik aranmaz)	Türkiye'deki kullanıcılara hizmet veren yabancı SaaS şirketi

İki ölçütlü kapılarda koşullardan birinin sağlanması yeterlidir: 50'den az çalışanı olup bilanço eşiğini aşan işletme de, bilançosu küçük olup çalışan eşiğini aşan işletme de yükümlüdür. Özel nitelikli veri kapısında ise büyüklüğün hiç önemi yoktur — üç kişilik bir psikolojik danışmanlık merkezi, ana faaliyeti gereği sağlık verisi işlediği için kayıt yükümlüsüdür.

Eşikler ve kayıt takvimi Kurul duyurularıyla değişebildiği için güncel son tarihleri 2026 güncel tarihler yazısında ayrı takip ediyoruz.

Kimler Muaf?

Kurul kararlarıyla bazı gruplar kayıt yükümlülüğünden istisna tutulmuştur. Öne çıkanlar:

• Yalnızca ilgili mevzuat uyarınca faaliyet gösteren avukatlar, noterler, arabulucular ve gümrük müşavirleri (mesleki faaliyet kapsamındaki işleme için)
• Dernekler, vakıflar ve sendikalar — yalnızca kendi mevzuatlarına uygun olarak, çalışan ve üyelerine yönelik veri işledikleri ölçüde
• Siyasi partiler ve bazı kamu görevi niteliğindeki işleme faaliyetleri
• Eşiklerin altında kalan ve ana faaliyeti özel nitelikli veri işlemek olmayan işletmeler

Muafiyetin sık yanlış anlaşılan yanı şudur: sicile kayıttan muaf olmak, KVKK'dan muaf olmak değildir. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, ilgili kişi başvurularını yanıtlama ve veri ihlali bildirimi gibi yükümlülükler eşiğin altındaki işletme için de aynen geçerlidir. VERBİS yalnız beyan katmanıdır; uyumun kendisi değil.

Kayıt Olmamanın Bedeli

Sicile kayıt ve bildirim yükümlülüğüne aykırılık, KVKK'nın 18. maddesi kapsamında idari para cezasına bağlanmıştır. Ceza tutarları her yıl yeniden değerleme oranıyla güncellenir ve üst sınırı milyonlarca lirayı bulur; veri güvenliği yükümlülükleri tarafında 2026 üst sınırları 17 milyon TL düzeyine yaklaşmıştır. Kesin güncel tutarlar için Kurum'un yıllık duyurusuna bakılmalıdır — ancak karar verirken sırf rakama odaklanmak yanıltıcıdır: kayıtsızlık aynı zamanda kamu ihalelerinde, kurumsal müşteri denetimlerinde ve veri işleyen sözleşmelerinde işletmeyi savunmasız bırakır. "VERBİS kaydınız yok" cümlesi, büyük müşterinin tedarikçi denetiminde tek başına eleme nedeni olabilmektedir.

Kaydın Altındaki Asıl İş: Veri Envanteri

VERBİS formu, kişisel veri işleme envanterinizin özetidir — envanter yoksa form ya doldurulmaz ya da gerçeği yansıtmayan bir kopyala-yapıştır beyana dönüşür. Envanter çıkarmaksa büyük ölçüde teknik bir keşif işidir:

• Hangi sistemlerde kişisel veri var? (muhasebe/ERP, CRM, e-posta, dosya sunucusu, İK yazılımı, kamera kayıtları, PDKS)
• Veri fiziksel olarak nerede duruyor? (yerinde sunucu, Türkiye'de veri merkezi, yurt dışı bulut)
• Kim erişebiliyor, hangi güvenlik tedbirleri uygulanıyor? (erişim yetkileri, şifreleme, yedekleme, loglama)
• Veri ne kadar süre saklanıyor, süresi dolunca ne oluyor? (imha politikası, silme kayıtları)
• Hangi üçüncü taraflara aktarılıyor? (mali müşavir, kargo, SMS/e-posta sağlayıcısı, yurt dışı SaaS araçları)

Yurt dışı aktarım sorusu bulut çağında en sık yanlış beyan edilen kalemdir; e-posta ve dosya depolama hizmetiniz yurt dışında barınıyorsa beyanınızın bunu yansıtması gerekir. Bu konunun ayrıntısını bulut kullanan KOBİ'nin yurt dışı aktarım gerçeği yazısında inceliyoruz.

Yamanlar Bilişim Bu Süreçte Nasıl Rol Alır?

VERBİS'e fiili kaydın hukuki beyan tarafı (veri kategorilerinin hukuki dayanağı, aydınlatma metinleri) avukatınızın veya KVKK danışmanınızın alanıdır; Yamanlar Bilişim bu sınırın berisindeki teknik hazırlığı üstlenir. VERBİS Teknik Hazırlık Envanteri çalışmasında sistemlerinizdeki kişisel verinin haritası çıkarılır: hangi veri hangi sunucuda/bulutta, kim erişiyor, nasıl yedekleniyor, hangi üçüncü taraf araçlara akıyor. Çalışmanın çıktısı hem VERBİS formunu gerçeğe uygun dolduracak altlık hem de çoğu zaman kayıttan daha değerli bir yan ürün üretir: şifrelenmemiş paylaşımlar, kontrolsüz erişim yetkileri gibi düzeltilmesi gereken somut güvenlik bulguları. Yaklaşımımızın bütünü Kurumsal Siber Güvenlik hizmet sayfasında yer alıyor.

SSS